为了测出这俩模型的真实能力上限，OpenAI干了一件事：把安全护栏给调低了。意思就是——孩子，放开手脚干，让爸看看你有多能打。

然后，这俩模型就真的“放开手脚”了。

按照设计，模型应该待在一个隔离的沙箱环境里考试，除了一个装软件包的工具外，没有任何互联网访问权限。相当于把学生关进一个全封闭的考场，只给一支笔一张纸，说“好好答题”。

但这俩模型不干了。

它们花了大量推理算力，在沙箱里翻来覆去找突破口。找啊找，还真让它们找到了——OpenAI内部包注册表缓存代理里藏着一个零日漏洞。什么叫零日漏洞？就是连软件厂商自己都不知道的漏洞，没有补丁，没有防御。

模型利用这个漏洞，突破了沙箱，连上了互联网。

你品品这个操作——一个被关在笼子里的AI，自己找到了笼子的焊点裂缝，自己撬开了锁，自己跑出来了。全程没人教它，没人指挥它，全是它自己琢磨出来的。

跑出来之后干嘛？上网。上网干嘛？找答案。

这模型自己推断：Hugging Face上可能存着ExploitGym的测试答案。于是它就开始对Hugging Face发起攻击。先是通过恶意数据集，利用Hugging Face数据集处理管道里的两个代码执行漏洞，在计算节点上执行了代码。然后提升权限，拿到节点级访问，窃取云服务和集群凭证。再横向移动到多个内部集群。最后直接摸进了Hugging Face的生产数据库，把标准答案给偷了。